要对 MySQL 使用 LDAP 可插拔身份验证，必须满足以下先决条件。

本节概述了 MySQL 和 LDAP 如何协同工作以验证 MySQL 用户。有关显示如何设置使用特定 LDAP 身份验证插件的 MySQL 帐户的示例，请参见 使用 LDAP 可插拔身份验证。有关 LDAP 插件可用的身份验证方法的信息，请参见 LDAP 身份验证方法。

客户端连接到 MySQL 服务器，提供 MySQL 客户端用户名和密码。

如果客户端用户名和主机名与任何 MySQL 帐户都不匹配，则拒绝连接。

如果存在匹配的 MySQL 帐户，则会执行针对 LDAP 的身份验证。LDAP 服务器查找与用户匹配的条目，并根据 LDAP 密码对条目进行身份验证。

如果 LDAP 服务器未找到匹配项或找到多个匹配项，则身份验证将失败，并且客户端连接将被拒绝。

如果 LDAP 服务器找到单个匹配项，则 LDAP 身份验证将成功（假设密码正确），LDAP 服务器将返回 LDAP 条目，并且身份验证插件将根据该条目确定已验证用户的名称。

MySQL 服务器将客户端用户名与已验证的用户名进行比较，以确定是否为客户端会话执行代理。

本节介绍如何安装服务器端 LDAP 身份验证插件。有关安装插件的常规信息，请参见 第 7.6.1 节，“安装和卸载插件”。

要使插件可供服务器使用，插件库文件必须位于 MySQL 插件目录（由 plugin_dir 系统变量命名的目录）中。如有必要，通过在服务器启动时设置 plugin_dir 的值来配置插件目录位置。

服务器端插件库文件的基名称为 authentication_ldap_simple 和 authentication_ldap_sasl。文件名的后缀因平台而异（例如，Unix 和类 Unix 系统为 .so，Windows 为 .dll）。

要在服务器启动时加载插件，请使用 --plugin-load-add 选项来命名包含它们的库文件。使用这种插件加载方法，每次服务器启动时都必须提供这些选项。此外，还要指定要配置的任何插件提供的系统变量的值。

每个服务器端 LDAP 插件都公开了一组系统变量，这些变量允许配置其操作。设置大多数变量是可选的，但必须设置指定 LDAP 服务器主机（以便插件知道要连接的位置）和 LDAP 绑定操作的基区分名称（以限制搜索范围并获得更快的搜索结果）的变量。有关所有 LDAP 系统变量的详细信息，请参见 第 8.4.1.12 节，“可插拔身份验证系统变量”。

要加载插件并设置 LDAP 服务器主机和 LDAP 绑定操作的基区分名称，请将以下几行添加到您的 my.cnf 文件中，根据需要调整 .so 后缀。

[mysqld]
plugin-load-add=authentication_ldap_simple.so
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改 my.cnf 后，重新启动服务器以使新的设置生效。

或者，要在运行时加载插件，请使用以下语句，根据需要调整 .so 后缀。

INSTALL PLUGIN authentication_ldap_simple
  SONAME 'authentication_ldap_simple.so';
INSTALL PLUGIN authentication_ldap_sasl
  SONAME 'authentication_ldap_sasl.so';

INSTALL PLUGIN 会立即加载插件，并将其注册到 mysql.plugins 系统表中，以使服务器在每次随后的正常启动时加载它，而无需使用 --plugin-load-add。

在运行时安装插件后，它们公开的系统变量将变得可用，您可以将这些变量的设置添加到您的 my.cnf 文件中，以便在后续重新启动时配置插件。例如，

[mysqld]
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改 my.cnf 后，重新启动服务器以使新的设置生效。

要在运行时而不是在启动时设置和持久化每个值，请使用以下语句。

SET PERSIST authentication_ldap_simple_server_host='127.0.0.1';
SET PERSIST authentication_ldap_simple_bind_base_dn='dc=example,dc=com';
SET PERSIST authentication_ldap_sasl_server_host='127.0.0.1';
SET PERSIST authentication_ldap_sasl_bind_base_dn='dc=example,dc=com';

SET PERSIST 会为正在运行的 MySQL 实例设置一个值。它还会保存该值，使其在随后的服务器重新启动时继续生效。要更改正在运行的 MySQL 实例的值，而不使其在随后的重新启动时继续生效，请使用 GLOBAL 关键字而不是 PERSIST。请参见 第 15.7.6.1 节，“SET 语法用于变量赋值”。

要验证插件安装，请检查 Information Schema PLUGINS 表，或者使用 SHOW PLUGINS 语句（请参见 第 7.6.2 节，“获取服务器插件信息”）。例如，

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%ldap%';
+----------------------------+---------------+
| PLUGIN_NAME                | PLUGIN_STATUS |
+----------------------------+---------------+
| authentication_ldap_sasl   | ACTIVE        |
| authentication_ldap_simple | ACTIVE        |
+----------------------------+---------------+

如果插件无法初始化，请检查服务器错误日志以获取诊断消息。

要将 MySQL 帐户与 LDAP 插件关联，请参见 使用 LDAP 可插拔身份验证。

卸载 LDAP 身份验证插件的方法取决于您的安装方法。

此外，请从您的 my.cnf 文件中删除任何设置与 LDAP 插件相关的系统变量的启动选项。如果您使用 SET PERSIST 来持久化 LDAP 系统变量，请使用 RESET PERSIST 来删除这些设置。

对于使用 OpenLDAP 的安装，ldap.conf 文件为 LDAP 客户端提供全局默认值。可以在此文件中设置选项来影响 LDAP 客户端，包括 LDAP 身份验证插件。OpenLDAP 按以下优先级顺序使用配置选项

如果库默认值或 ldap.conf 值没有产生适当的选项值，LDAP 身份验证插件可能能够设置相关变量以直接影响 LDAP 配置。例如，LDAP 插件可以覆盖 ldap.conf 中的参数，例如

有关 ldap.conf 的更多信息，请参阅 ldap.conf(5) 手册页。

为了使 MySQL 帐户能够使用 LDAP 可插拔身份验证连接到 MySQL 服务器，LDAP 服务器必须可用并处于运行状态。MySQL 服务器和 LDAP 服务器之间的交互涉及两个步骤。首先，MySQL 服务器通过 TCP 建立与 LDAP 服务器的连接。其次，MySQL 服务器通过连接向 LDAP 服务器发送 LDAP 绑定请求，并在对帐户进行身份验证之前等待回复。如果任一步骤失败，MySQL 帐户将无法连接到 MySQL 服务器。

默认情况下，在连接和响应步骤中都会应用比主机系统超时值更短的超时时间。在所有情况下，如果超时时间到期，帐户用户会收到通知，告知其连接到 MySQL 的尝试被拒绝。客户端和服务器端日志可以提供更多信息。在客户端，设置以下环境变量以提高详细级别，然后重新启动 MySQL 客户端

AUTHENTICATION_LDAP_CLIENT_LOG=5
export AUTHENTICATION_LDAP_CLIENT_LOG

以下系统变量支持仅在 Linux 平台上针对基于 SASL 和简单 LDAP 身份验证的默认超时时间。

LDAP 身份验证的超时值可以在服务器启动时和运行时进行调整。如果您使用这些变量之一将超时时间设置为零，您将有效地将其禁用，并且 MySQL 服务器将恢复使用主机系统的默认超时时间。

本节介绍如何启用 MySQL 帐户以使用 LDAP 可插拔身份验证连接到 MySQL 服务器。假设服务器正在运行，并且已启用适当的服务器端插件，如 安装 LDAP 可插拔身份验证 中所述，并且客户端主机上提供了适当的客户端端插件。

本节不描述 LDAP 配置或管理。假设您熟悉这些主题。

两个服务器端 LDAP 插件分别与一个特定的客户端端插件配合使用

对 MySQL 用户进行 LDAP 身份验证的总体要求

这里的说明假设以下场景

设置使用 LDAP 身份验证的帐户的说明取决于使用的服务器端 LDAP 插件。以下部分介绍几种使用场景。

要配置用于简单 LDAP 身份验证的 MySQL 帐户，CREATE USER 语句指定 authentication_ldap_simple 插件，并可选地命名 LDAP 用户可辨别名称 (DN)

CREATE USER user
  IDENTIFIED WITH authentication_ldap_simple
  [BY 'LDAP user DN'];

假设 MySQL 用户 betsy 在 LDAP 目录中具有此条目

uid=betsy_ldap,ou=People,dc=example,dc=com

然后，创建 betsy 的 MySQL 帐户的语句如下所示

CREATE USER 'betsy'@'localhost'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=betsy_ldap,ou=People,dc=example,dc=com';

BY 子句中指定的身份验证字符串不包含 LDAP 密码。该密码必须由客户端用户在连接时提供。

客户端通过提供 MySQL 用户名和 LDAP 密码，以及启用客户端端 mysql_clear_password 插件来连接到 MySQL 服务器

$> mysql --user=betsy --password --enable-cleartext-plugin
Enter password: betsy_password (betsy_ldap LDAP password)

身份验证过程如下

如果匹配的 LDAP 条目包含组属性，则该属性值将是已认证的用户名，并且如果该值与 betsy 不同，则会发生代理。有关使用组属性的示例，请参阅 使用代理的 LDAP 身份验证。

如果 CREATE USER 语句不包含任何 BY 子句来指定 betsy_ldap LDAP 可辨别名称，则身份验证尝试将使用客户端提供的用户名（在本例中为 betsy）。如果不存在 betsy 的 LDAP 条目，则身份验证将失败。

要配置用于 SASL LDAP 身份验证的 MySQL 帐户，CREATE USER 语句指定 authentication_ldap_sasl 插件，并可选地命名 LDAP 用户可辨别名称 (DN)

CREATE USER user
  IDENTIFIED WITH authentication_ldap_sasl
  [BY 'LDAP user DN'];

假设 MySQL 用户 boris 在 LDAP 目录中具有此条目

uid=boris_ldap,ou=People,dc=example,dc=com

然后，创建 boris 的 MySQL 帐户的语句如下所示

CREATE USER 'boris'@'localhost'
  IDENTIFIED WITH authentication_ldap_sasl
  AS 'uid=boris_ldap,ou=People,dc=example,dc=com';

BY 子句中指定的身份验证字符串不包含 LDAP 密码。该密码必须由客户端用户在连接时提供。

客户端通过提供 MySQL 用户名和 LDAP 密码来连接到 MySQL 服务器

$> mysql --user=boris --password
Enter password: boris_password (boris_ldap LDAP password)

对于服务器端 authentication_ldap_sasl 插件，客户端使用客户端端 authentication_ldap_sasl_client 插件。如果客户端程序找不到客户端端插件，请指定一个 --plugin-dir 选项，该选项指定安装插件库文件所在的目录。

用于boris 的身份验证流程与之前描述的betsy 的简单 LDAP 身份验证类似，区别在于客户端和服务器端的 SASL LDAP 插件使用 SASL 消息在 LDAP 协议中安全地传输凭据，避免在 MySQL 客户端和服务器之间发送明文密码。

LDAP 身份验证插件支持代理，使用户能够以一个用户身份连接到 MySQL 服务器，但使用另一个用户的权限。本节介绍基本的 LDAP 插件代理支持。LDAP 插件还支持组优先级和代理用户映射的指定；请参阅LDAP 身份验证组优先级和映射规范。

这里描述的代理实现基于使用 LDAP 组属性值将使用 LDAP 进行身份验证的连接 MySQL 用户映射到定义不同权限集的其他 MySQL 帐户。用户不会直接通过定义权限的帐户连接。相反，他们通过使用 LDAP 进行身份验证的默认代理帐户连接，因此所有外部登录都映射到拥有权限的代理 MySQL 帐户。任何使用代理帐户连接的用户都会映射到其中一个代理 MySQL 帐户，该帐户的权限决定了允许外部用户执行的数据库操作。

这里的说明假设以下场景

创建默认代理 MySQL 帐户

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl;

代理帐户定义没有AS 'auth_string' 子句来命名 LDAP 用户 DN。因此

创建代理帐户，并为每个帐户授予其应有的权限

CREATE USER 'accounting'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'front_office'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON accountingdb.*
  TO 'accounting'@'localhost';
GRANT ALL PRIVILEGES
  ON frontdb.*
  TO 'front_office'@'localhost';

代理帐户使用mysql_no_login 身份验证插件来阻止客户端使用这些帐户直接登录到 MySQL 服务器。相反，使用 LDAP 进行身份验证的用户应使用默认的''@'%' 代理帐户。（这假设mysql_no_login 插件已安装。有关说明，请参阅第 8.4.1.8 节，“无登录可插拔身份验证”。）有关保护代理帐户免遭直接使用的方法，请参阅阻止直接登录代理帐户。

为代理帐户授予每个代理帐户的PROXY 权限

GRANT PROXY
  ON 'accounting'@'localhost'
  TO ''@'%';
GRANT PROXY
  ON 'front_office'@'localhost'
  TO ''@'%';

使用mysql 命令行客户端以basha 身份连接到 MySQL 服务器。

$> mysql --user=basha --password
Enter password: basha_password (basha LDAP password)

身份验证过程如下

这表明basha 使用授予代理的accounting MySQL 帐户的权限，并且代理通过默认的代理用户帐户发生。

现在以basil 身份连接

$> mysql --user=basil --password
Enter password: basil_password (basil LDAP password)

用于basil 的身份验证流程与之前描述的basha 类似

这表明basil 使用授予代理的front_office MySQL 帐户的权限，并且代理通过默认的代理用户帐户发生。

如使用代理的 LDAP 身份验证 中所述，基本的 LDAP 身份验证代理的工作原理是，插件使用 LDAP 服务器返回的第一个组名作为 MySQL 代理用户帐户名。这种简单功能无法实现对 LDAP 服务器返回多个组名时使用哪个组名的任何优先级进行指定，也无法指定除了组名之外的任何名称作为代理用户名。

对于使用 LDAP 身份验证的 MySQL 帐户，身份验证字符串可以指定以下信息以实现更大的代理灵活性

考虑以下 MySQL 代理帐户定义

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl
  AS '+ou=People,dc=example,dc=com#grp1=usera,grp2,grp3=userc';

身份验证字符串具有一个用户 DN 后缀ou=People,dc=example,dc=com，前面有+ 字符。因此，如LDAP 身份验证用户 DN 后缀 中所述，完整的用户 DN 是从指定的用户 DN 后缀加上客户端用户名作为uid 属性构造的。

身份验证字符串的其余部分以# 开头，表示组优先级和映射信息的开始。身份验证字符串的这一部分按顺序列出了组名grp1、grp2、grp3。LDAP 插件将该列表与 LDAP 服务器返回的组名集进行比较，按列表顺序查找与返回名称的匹配项。插件使用第一个匹配项，如果不存在匹配项，则身份验证失败。

假设 LDAP 服务器返回组grp3、grp2 和grp7。LDAP 插件使用grp2，因为它是在身份验证字符串中第一个匹配的组，即使它不是 LDAP 服务器返回的第一个组。如果 LDAP 服务器返回grp4、grp2 和grp1，则插件使用grp1，即使grp2 也匹配。grp1 的优先级高于grp2，因为它在身份验证字符串中列出的更早。

假设插件找到了一个组名匹配项，它会将该组名映射到 MySQL 代理用户名，如果有的话。对于示例代理帐户，映射如下

如果 LDAP 服务器以 DN 格式返回组，则 LDAP 插件将解析组 DN 以从中提取组名。

若要指定 LDAP 组优先级和映射信息，请应用以下原则

LDAP 身份验证插件允许提供用户 DN 信息的身份验证字符串以+ 前缀字符开头

此帐户身份验证字符串开头没有+，因此它被视为完整的用户 DN。

CREATE USER 'baldwin'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=admin,ou=People,dc=example,dc=com';

客户端使用帐户中指定的用户名（baldwin）连接。在这种情况下，该名称不会被使用，因为身份验证字符串没有前缀，因此完全指定了用户 DN。

此帐户身份验证字符串开头有+，因此它被视为用户 DN 的一部分。

CREATE USER 'accounting'
  IDENTIFIED WITH authentication_ldap_simple
  AS '+ou=People,dc=example,dc=com';

客户端使用帐户中指定的用户名（accounting）连接，在这种情况下，它与身份验证字符串一起被用作uid属性来构建用户 DN：uid=accounting,ou=People,dc=example,dc=com

前面示例中的帐户具有非空的用户名，因此客户端始终使用帐户定义中指定的相同名称连接到 MySQL 服务器。如果帐户的用户名为空，例如使用代理的 LDAP 身份验证中描述的默认匿名''@'%'代理帐户，客户端可能会使用不同的用户名连接到 MySQL 服务器。但是原理相同：如果身份验证字符串以+开头，插件将使用客户端发送的用户名以及身份验证字符串来构建用户 DN。

LDAP 身份验证插件使用可配置的身份验证方法。相应的系统变量和可用的方法选择是特定于插件的。

有关每个允许方法的信息，请参见系统变量描述。此外，根据方法，可能需要额外的配置，如以下部分所述。

通用安全服务应用程序编程接口 (GSSAPI) 是一个安全抽象接口。Kerberos 是一个特定安全协议的实例，可以通过该抽象接口使用。使用 GSSAPI，应用程序向 Kerberos 进行身份验证以获取服务凭据，然后使用这些凭据反过来启用对其他服务的安全访问。

其中一项服务是 LDAP，客户端和服务器端 SASL LDAP 身份验证插件使用该服务。当authentication_ldap_sasl_auth_method_name系统变量设置为GSSAPI时，这些插件使用 GSSAPI/Kerberos 身份验证方法。在这种情况下，插件使用 Kerberos 安全通信，而不会直接使用 LDAP 消息。然后，服务器端插件与 LDAP 服务器通信以解释 LDAP 身份验证消息并检索 LDAP 组。

GSSAPI/Kerberos 作为 LDAP 身份验证方法，在 Linux 上的 MySQL 服务器和客户端中受支持。它在 Linux 环境中很有用，在这些环境中，应用程序可以通过 Microsoft Active Directory 访问 LDAP，默认情况下 Active Directory 启用了 Kerberos。

以下讨论提供了有关使用 GSSAPI 方法的配置要求的信息。假定熟悉 Kerberos 概念和操作。以下列表简要定义了几个常见的 Kerberos 术语。您可能还会发现RFC 4120的术语表部分有所帮助。

使用 Kerberos 进行 LDAP 身份验证需要 KDC 服务器和 LDAP 服务器。可以通过不同的方式满足此要求。

Kerberos 还必须在客户端主机上可用。客户端使用密码联系 AS 以获取 TGT。然后，客户端使用 TGT 从 TGS 获取对其他服务的访问权限，例如 LDAP。

以下部分讨论了在 MySQL 中使用 GSSAPI/Kerberos 进行 SASL LDAP 身份验证的配置步骤。

验证 Kerberos 和 LDAP 的可用性

以下示例展示了如何测试 Active Directory 中 Kerberos 的可用性。该示例基于以下假设。

在满足这些假设后，请遵循以下步骤。

为 GSSAPI/Kerberos 配置服务器端 SASL LDAP 身份验证插件

假设 LDAP 服务器可以通过 Kerberos 访问，如上所述，请配置服务器端 SASL LDAP 身份验证插件以使用 GSSAPI/Kerberos 身份验证方法。（有关一般 LDAP 插件安装信息，请参见安装 LDAP 可插拔身份验证。）以下是一些服务器my.cnf文件可能包含的与插件相关的设置示例。

[mysqld]
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_auth_method_name="GSSAPI"
authentication_ldap_sasl_server_host=198.51.100.10
authentication_ldap_sasl_server_port=389
authentication_ldap_sasl_bind_root_dn="cn=admin,cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_bind_root_pwd="password"
authentication_ldap_sasl_bind_base_dn="cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_user_search_attr="sAMAccountName"

这些选项文件设置按如下方式配置 SASL LDAP 插件。

创建一个使用 GSSAPI/Kerberos 进行 LDAP 身份验证的 MySQL 帐户

使用 SASL LDAP 身份验证插件（使用 GSSAPI/Kerberos 方法）进行 MySQL 身份验证基于一个用户，该用户是一个 Kerberos 主体。以下讨论使用名为[email protected]的主体作为此用户，该主体必须在几个地方注册。

假设 Kerberos 主体和 LDAP 条目已由相应的服务管理员注册，并且如先前在 安装 LDAP 可插拔身份验证 和 为 GSSAPI/Kerberos 配置服务器端 SASL LDAP 身份验证插件 中所述，MySQL 服务器已启动并具有服务器端 SASL LDAP 插件的适当配置设置。然后，MySQL DBA 创建一个与 Kerberos 主体名称（包括域名）相对应的 MySQL 帐户。

以下语句创建一个名为 [email protected] 的代理用户，该用户假定名为 proxied_krb_usr 的代理用户的权限。其他应该具有相同权限的 GSSAPI/Kerberos 用户可以以类似方式作为同一代理用户的代理用户创建。

-- create proxy account
CREATE USER '[email protected]'
  IDENTIFIED WITH authentication_ldap_sasl
  BY '#krb_grp=proxied_krb_user';

-- create proxied account and grant its privileges;
-- use mysql_no_login plugin to prevent direct login
CREATE USER 'proxied_krb_user'
  IDENTIFIED WITH mysql_no_login;
GRANT ALL
  ON krb_user_db.*
  TO 'proxied_krb_user';

-- grant to proxy account the
-- PROXY privilege for proxied account
GRANT PROXY
  ON 'proxied_krb_user'
  TO '[email protected]';

仔细观察第一个 CREATE USER 语句和 GRANT PROXY 语句中代理帐户名称的引用。

代理帐户使用 mysql_no_login 身份验证插件来阻止客户端使用该帐户直接登录到 MySQL 服务器。相反，预期使用 LDAP 进行身份验证的用户将使用 [email protected] 代理帐户。（这假设 mysql_no_login 插件已安装。有关说明，请参阅 第 8.4.1.8 节“No-Login 可插拔身份验证”）。有关保护代理帐户免遭直接使用的方法，请参阅 阻止直接登录代理帐户。

使用 MySQL 帐户连接到 MySQL 服务器

在设置使用 GSSAPI/Kerberos 进行身份验证的 MySQL 帐户后，客户端可以使用它连接到 MySQL 服务器。Kerberos 身份验证可以在 MySQL 客户端程序调用之前或时进行。

如果您不确定是否已存在 TGT，可以使用 klist 进行检查。

身份验证过程如下

一旦获得 TGT，它就会缓存在客户端，并且可以在它过期之前使用，而无需再次指定密码。无论如何获取 TGT，客户端插件都会使用它来获取服务票证并与服务器端插件通信。

服务器端插件无法访问 TGT 本身或用于获取它的 Kerberos 密码。

LDAP 身份验证插件无法控制缓存机制（在本地文件中存储、在内存中存储等），但可能可以使用诸如 kswitch 之类的 Kerberos 实用程序来实现此目的。

LDAP 身份验证的客户端配置参数

authentication_ldap_sasl_client 客户端 SASL LDAP 插件读取本地 /etc/krb5.conf 文件。如果此文件丢失或无法访问，则会发生错误。假设该文件可访问，它可以包含一个可选的 [appdefaults] 部分，以提供插件使用的信息。将信息放置在该部分的 mysql 部分中。例如

[appdefaults]
  mysql = {
    ldap_server_host = "ldap_host.example.com"
    ldap_destroy_tgt = true
  }

客户端插件在 mysql 部分中识别这些参数。

可以将 LDAP 服务器配置为将 LDAP 搜索委派给另一个 LDAP 服务器，此功能称为 LDAP 引用。假设服务器 a.example.com 持有 "dc=example,dc=com" 根 DN 并希望将搜索委派给另一个服务器 b.example.com。要启用此功能，a.example.com 将配置为具有以下属性的命名引用对象

dn: dc=subtree,dc=example,dc=com
objectClass: referral
objectClass: extensibleObject
dc: subtree
ref: ldap://b.example.com/dc=subtree,dc=example,dc=com

启用 LDAP 引用的一个问题是，当搜索基本 DN 为根 DN 且未设置引用对象时，搜索可能会因 LDAP 操作错误而失败。MySQL DBA 可能会希望避免 LDAP 身份验证插件出现此类引用错误，即使在 ldap.conf 配置文件中全局设置了 LDAP 引用。要在插件特定基础上配置 LDAP 服务器是否应在与每个插件通信时使用 LDAP 引用，请设置 authentication_ldap_simple_referral 和 authentication_ldap_sasl_referral 系统变量。将任一变量设置为 ON 或 OFF 会导致相应的 LDAP 身份验证插件告诉 LDAP 服务器在 MySQL 身份验证期间是否应使用引用。每个变量都有一个插件特定的效果，不会影响与 LDAP 服务器通信的其他应用程序。这两个变量默认都为 OFF。